Docker Desktop 怎样映射容器端口并排查访问不到

Docker Desktop 里“端口映射了却访问不到”，先不要急着改网络模式。最容易出错的是把宿主端口和容器端口写反，或者容器里的应用根本没有监听你映射的端口。一个清晰的最小例子是 8080:80：浏览器访问宿主机的 localhost:8080，Docker Desktop 再把请求转到容器内的 80 端口。

官方地址：https://docs.docker.com/desktop/features/networking/

先用 docker run -d --name demo-web -p 8080:80 nginx 创建映射，再依次核对四件事：映射值是否正确、应用是否监听容器端口、宿主端口是否被占用、Docker Desktop 后端是否被防火墙拦截。只要这四项能对上，主机访问通常就能定位到具体环节。

一、先看懂 8080:80 到底映射了什么

-p 的基本格式是 宿主端口:容器端口。所以 8080:80 不是把两个端口都开在容器里，而是把宿主机的 8080 作为入口，转发到容器里的 80。容器内的 Web 服务仍然需要真正监听 80，否则映射存在也没有服务响应。

Docker Desktop 会把容器运行在其管理的 Linux 虚拟机中，再把发布的端口转发到宿主机。对于本地开发，记住“外部访问宿主端口，内部服务监听容器端口”这一层关系，比直接修改网络设置更重要。

二、在创建容器时填写端口映射

最小测试可以直接使用 Nginx。这个例子把宿主机 8080 映射到 Nginx 容器的 80，并给容器一个容易在 Docker Desktop 中找到的名称。

# 后台启动一个用于验证端口转发的 Web 容器
docker run -d \
  --name demo-web \
  -p 8080:80 \
  nginx

# 查看容器是否处于运行状态以及端口映射
docker ps --filter name=demo-web
docker port demo-web

打开 Docker Desktop 的 Containers 页面，找到 demo-web 后进入详情。界面中的 Ports 或 Published ports 区域应能看到类似 0.0.0.0:8080->80/tcp 的关系。这里的 0.0.0.0 表示对宿主机可用的网络接口监听；如果只想让本机访问，也可以显式绑定到 127.0.0.1。

如果你是在创建容器的图形界面中填写参数，字段含义仍然一样：左侧填宿主端口，右侧填容器端口。不要因为镜像页面写着“Expose 80”就把浏览器地址也写成 80；真正暴露给宿主机的入口由发布映射决定。

三、先从宿主机访问，再确认容器内监听

映射成功后，优先在宿主机访问 http://localhost:8080。如果浏览器提示连接失败，先用命令把“端口转发问题”和“应用没有响应问题”分开。

# 从宿主机访问已发布的宿主端口
curl -i http://localhost:8080

# 再次确认 Docker 记录的宿主端口与容器端口
docker port demo-web

# 查看容器日志，确认 Web 进程没有立即退出
docker logs --tail 50 demo-web

这三步分别回答三个问题：宿主端口有没有响应、Docker 记录的映射是什么、容器里的服务进程有没有持续运行。对于自己的应用镜像，还要检查应用监听地址。应用只监听 127.0.0.1 时，通常只接受容器自身回环接口的请求；开发服务器应按其文档配置为监听容器可达的地址，例如 0.0.0.0，但具体参数要以该框架的官方说明为准。

同时，EXPOSE 80 只是镜像元数据提示，不等于已经把宿主机端口发布出来。真正的外部入口仍需要 -p 或 --publish。

四、访问不到时按三个检查点定位

1. 端口映射方向写反

假设容器内服务监听 3000，却写成 -p 3000:8080，Docker 会把请求送到容器的 8080，而不是 3000。正确做法是让右侧等于应用真实监听端口，例如：

# 左边 8080 是宿主入口，右边 3000 是应用在容器内监听的端口
docker run -d --name demo-app -p 8080:3000 my-app:latest

不要只根据浏览器报错猜端口，直接用 docker port demo-app 和应用启动日志对照，能最快排除方向错误。

2. 宿主端口已被占用

如果宿主机的 8080 已被其他开发服务使用，容器创建阶段通常就会提示绑定失败，或者旧容器仍占据这个端口。此时可以停掉不需要的旧容器，或者换一个宿主端口，容器端口不必跟着改变：

# 改用宿主机 18080，容器内仍然使用 80
docker run -d --name demo-web-2 -p 18080:80 nginx

# 访问新的宿主入口，检查转发是否正常
curl -i http://localhost:18080

Docker Desktop 的容器详情和端口列表适合确认“哪个容器占用了哪个宿主端口”；宿主系统的端口工具则适合确认“哪个进程正在监听”。两者都显示占用时，不要重复创建同一个映射。

3. 防火墙或网络设置改变了访问路径

Docker Desktop 的网络流量会经过平台对应的后端进程。Mac 和 Windows 常见的是 com.docker.backend 或 com.docker.backend.exe。如果容器在运行、docker port 映射也正确，但来自局域网的访问被拒绝，需要检查宿主防火墙是否允许该后端进程处理入站连接。

本机访问和局域网访问不是同一个问题：localhost:8080 只验证宿主机本地入口；其他设备访问时还要考虑宿主机网卡地址、系统防火墙，以及是否把端口绑定到了回环地址。排查时先把范围限定在本机，再逐步扩大，避免把多个网络变量混在一起。

五、用一个最小闭环完成验收

可以把验收记录压缩成下面五项。每项都能从 Docker Desktop 界面或 CLI 得到一个明确结果：

1. Containers 页面显示目标容器为运行状态。
2. Ports 区域显示宿主端口到容器端口的映射，方向符合 宿主:容器。
3. docker port 输出与界面显示一致。
4. curl http://localhost:宿主端口 能获得应用响应；若没有响应，再查应用监听地址和日志。
5. 需要局域网访问时，再检查宿主机防火墙和绑定地址，不把局域网问题误判成容器端口映射问题。

清理测试容器时，可以连同容器一起移除，避免下次测试继续占用宿主端口：

# 停止并删除本教程创建的测试容器
docker rm -f demo-web demo-web-2 2>/dev/null || true

常见问题

Docker Desktop 端口映射后应该访问哪个地址？

从宿主机访问时，访问映射左侧的宿主端口，例如 localhost:8080。不要直接把容器端口 80 当作宿主入口，除非你明确把宿主端口也映射成了 80。

只写 Dockerfile 的 EXPOSE 能让外部访问吗？

不能把它当作宿主机端口发布。EXPOSE 是镜像元数据提示；创建容器时仍需用 -p 或 --publish 建立宿主端口到容器端口的映射。

为什么容器运行着，浏览器仍然连接失败？

运行状态只说明容器主进程还在，不代表应用监听端口正确。先看 docker port，再看日志和应用监听地址，最后检查宿主端口占用及防火墙路径。

官方参考：https://docs.docker.com/desktop/features/networking/networking-how-tos/

端口发布语义：https://docs.docker.com/engine/network/port-publishing/